Haka-infrastruktuuri Kajaanin ammattikorkeakoulun käyttäjähallinnon kuvaus Versio 0.2 0.1 Tekijä Mika Moilanen Mika Moilanen Päiväys 1.12.2011 24.1.2011 Tässä dokumentissa ollaan kiinnostuneita käyttäjätietokannan ja sen tietojen ajantasaisuuden toteutuksen yleisistä periaatteista sellaisella tasolla, joka antaa riittävät tiedot käyttäjätietojen laadun ja ajantasaisuuden arvioimiseksi. Kotiorganisaatio asettaa tämän dokumentin www:hen kaikkien saataville ja päivittää sitä oma-aloitteisesti, kun muutoksia tulee. Dokumentti linkitetään Haka-infrastruktuurin kotisivulta. Tässä dokumentissa käyttäjätietokannalla tarkoitetaan sitä loppukäyttäjien attribuuttien joukkoa, johon organisaation Identity Provider-palvelin tukeutuu. Käyttäjätietokannan tekninen toteutus voi olla esim. LDAP-hakemisto tai relaatiotietokanta, tai niiden yhdistelmä niin, että Identity Provider -palvelin noutaa osan attribuuteista LDAP-hakemistosta ja osan JDBC:n yli opiskelijarekisteristä. 1. Käyttäjätietokannan ja perusrekistereiden kytkentä 1.1. Opiskelijarekisteri Kajaanin ammattikorkeakoulun Asio-opintohallinto -järjestelmä toimii opiskelijarekisterinä, johon opiskelijoiden perustiedot syötetään. Asion tietokantaa käytetään IdP:n tietolähteenä, vain tunnistautumistiedot haetaan LDAP-hakemistosta. 1.1.1. Uusi opiskelija Opiskelijarekisteriin päivitettävät tiedot ovat heti IdP:n käytettävissä. Tunnistetiedot pitää luoda LDAPhakemistoon manuaalisesti. Opiskelija saa käyttäjätunnuksen opintojen alussa tietohallinnolta erityisessä informaatiotilaisuudessa tai myöhemmin opintotoimistosta. Käyttäjätunnukset luodaan läsnäoleville opiskelijoille ja poissaolevien opiskelijoiden käyttäjätunnukset deaktivoidaan. Toistaiseksi manuaalinen prosessi. 1.1.2. Opiskelijan tiedoissa tapahtuu muutos Opiskelijarekisteriin päivitettävät tiedot ovat heti IdP:n käytettävissä. 1.1.3. Opiskelija lakkaa olemasta opiskelija Asioon merkitään opiskelijan valmistuminen valmistumispäivänä. Poissaolo ja keskeyttäminen merkitään Asioon opintotoimiston toimesta heti, kun asia on tiedossa. Opiskelijoiden käyttäjätunnus poistetaan 2 viikon kuluttua opiskelijaroolin poistumisesta käyttäjätietokannasta. 1.2. Henkilökuntarekisteri Henkilökuntarekisteri on kytketty identiteetinhallinnan piiriin, joten kirjautuminen henkilökunnan käyttäjätunnuksilla on mahdollista. Lähtökohta on, että henkilökuntarekisteri on ajan tasalla.
1.2.1. Uusi työntekijä Uuden työntekijän käyttäjätunnistetiedot luodaan LDAP-hakemistoon manuaalisesti. Käyttäjätunnistetiedot ovat heti IdP:n käytettävissä. 1.2.2. Työntekijän tiedoissa tapahtuu muutos Työntekijän tiedoissa tapahtuvat muutokset ovat heti IdP:n käytettävissä. 1.2.3. Työntekijä lakkaa olemasta työntekijä Kun työntekijän työsuhde lakkaa, hänen käyttäjätunnuksensa disabloituu välittömästi ja tieto siitä on heti IdP:n käytettävissä. 1.3. Muut käyttäjät ja heidän henkilötietojensa ajantasaisuus Organisaatiossa on ravintolahenkilökuntaa, opiskelijajärjestön työntekijöitä sekä kirjaston asiakkaita, joiden käyttämät käyttäjätunnukset sijaitsevat Active Directoryn organisaatioyksikössä, josta ei sallita Shibbolethkirjautumista. Käyttäjätunnusten sulkeutuminen tapahtuu työsuhteen päättyessä. 2. Henkilöllisyyden todentaminen 2.1. Käyttäjätunnuksen antamisen yhteydessä Henkilöllisyys todennetaan käyttäjätunnuksen antamisen yhteydessä kuvallisen henkilötodistuksen avulla. 2.2. Kun käyttäjä kirjautuu käyttäjätunnuksensa avulla Salasanan täytyy olla 9 merkkiä pitkä ja järjestelmä muistaa 30 edellistä salasanaa. Salasanan vaihto on pakotettu 4 kk välein. 3. Käyttäjätietokannassa saatavilla olevat tiedot Attribuutti Saatav uus Miten ajantasaisuus turvataan Muuta (esim. tulkintaohje) cn / commonname x Käyttäjätietokanta Ensimmäinen etunimi ja sukunimi description displayname x Käyttäjätietokanta Ensimmäinen etunimi employeenumber facsimiletelephonenumber givenname x Käyttäjätietokanta Etunimet, vähintään sama kuin displayname homephone x Opiskelijahallintorekisteri
homepostaladdress x Opiskelijahallintorekisteri jpegphoto l / localityname x Vakio Kajaani labeleduri mail x Käyttäjätietokanta Sähköpostiosoite mobile o / organizationname x Vakio Kajaanin ammattikorkeakoulu ou / organizationalunitname postaladdress postalcode preferredlanguage x Opiskelijahallintorekisteri seealso sn / surname x Käyttäjätietokanta Sukunimi street telephonenumber title uid x Käyttäjätietokanta Käyttäjätunnus usercertificate edupersonaffiliation x Käyttäjätietokanta / Opiskelijahallintorekisteri Riippuu käyttäjän roolista, henkilöstöllä member-arvo, opiskelijoilla student edupersonentitlement edupersonnickname edupersonorgdn edupersonorgunitdn edupersonprimaryaffiliation edupersonprimaryorgunitdn edupersonprincipalname x Käyttäjätietokanta Sama kuin uid@kajak.fi edupersonscopedaddiliation edupersontargetedid schacmothertongue
schacgender x Opiskelijahallintorekisteri schacdateofbirth schacplaceofbirth schaccountryofcitizenship schachomeorganization x vakio Kajak.fi schachomeorganizationtype x vakio urn:mace:terena.org:schac: homeorganizationtype:fi:pol ytechnic schaccountryofresidence schacuserpresenceid schacpersonaluniquecode schacpersonaluniqueid schacuserstatus funetedupersonhomeorganizatio n funetedupersonstudentid funetedupersonidentitycode funetedupersondateofbirth funetedupersontargetdegreeuni versity funetedupersontargetdegreepoly tech funetedupersontargetdegree funetedupersoneducationalprogr amuniv funetedupersoneducationalprogr ampolytech funetedupersonprogram funetedupersonmajoruniv
funetedupersonorientationaltern Polytech funetedupersonspecialisation funetedupersonstudystart funetedupersonprimarystudystar t funetedupersonstudytoend funetedupersonprimarystudytoe nd funetedupersoncreditunits funetedupersonects funetedupersonstudentcategory funetedupersonstudentstatus funetedupersonstudentunion funetedupersonhomecity funetedupersoneppntimestamp 4. Muuta 4.1. Kardinaliteetit Yksi henkilöllisyys per tosielämän käyttäjä 4.2. EduPersonPrincipalNamen revokointi ja kierrätys edupersonprincipalname voi vaihtua. Jos opiskelijasta tulee työntekijä, muuttuu edupersonprincipalname. edupersonprincipalname muodostuu opiskelijalla ryhmätunnuksesta, aloitusvuodesta, etunimestä sekä sukunimen ensimmäisestä kirjaimesta. Kierrätysväli 10 vuotta.